Запись ресурса DNS Certification Authority Authorization (CAA) позволяет владельцу доменного имени DNS указать один или несколько центров сертификации (ЦС), уполномоченных выпускать сертификаты для этого домена. Записи CAA могут задавать политику для всего домена или для определенных имен хостов. Они также наследуются поддоменами, поэтому запись CAA, установленная для домена domain.com, будет также применяться к любому поддомену, например subdomain.domain.com (если она не переопределена). Записи CAA могут контролировать выдачу сертификатов с одним именем, сертификатов с подстановочными знаками или и тех, и других.
Зачем вам нужна запись CAA?
Записи CAA позволяют вам определить, какие центры сертификации могут выдавать сертификаты для вашего домена и поддоменов. По этой причине всегда полезно контролировать этот процесс с помощью соответствующей записи (записей) CAA. Запись CAA помогает центрам сертификации лучше контролировать процесс выдачи сертификатов и снижает вероятность ошибочного выпуска сертификатов для домена. Кроме того, добавляя такую DNS-запись, вы ограничиваете злоупотребления и предотвращаете выпуск поддельных сертификатов для вашего домена.
Как создать запись DNS CAA?
Войдите в свою учетную запись ClouDNS, откройте страницу управления зоной DNS и нажмите на кнопку Добавить новую запись. Для параметра Тип выберите CAA и введите следующий текст:
- Тип: CAA
- TTL: 1 час
- Host: Доменное имя/поддомен
- Flag: 0/182
- Type: issue/issuewild/iode
- Value: Значение, полученное от предпочтительного центра сертификации
| Хост | Тип записи | Указывает на: |
| hostname.com | CAAA | 0 issue "letsencrypt.org" |
Структура записи CAA
Каждая запись CAA включает в себя следующие компоненты:
Флаг
Все записи по умолчанию имеют значение 0, что означает, что они не являются критическими. Флаг 128 используется для критических
Тип
Тип позволяет выбрать способ выпуска сертификатов центром сертификации. Каждая запись CAA может содержать только одну пару тег-значение.
- issue: Явно разрешает одному центру сертификации выпустить сертификат (любого типа) для имени хоста.
- issuewild (дикий): Разрешение на выпуск сертификатов с указанием домена с подстановочным знаком. Обратите внимание: свойства issuewild имеют приоритет над свойствами issue, если они указаны.
- iodef: (Incident Description Exchange Format) Определяет способ сообщения о запросах на выпуск сертификатов или случаях выпуска сертификатов для соответствующего домена, которые нарушают политику безопасности эмитента или владельца доменного имени.
Значение
Укажите доменное имя поставщика ЦС, к которому применяется запись CAA.
В чем преимущества записи CAA?
Вот основные преимущества добавления записей CAA к вашему доменному имени:
- С помощью записей CAA вы контролируете, каким центрам сертификации разрешено выпускать сертификаты для вашего домена.
- Центры сертификации могут связаться с владельцем домена по поводу неудачного запроса на выдачу сертификата. Таким образом, владельцы доменов получают информацию о ложных или мошеннических запросах на выдачу сертификатов.
- С помощью этой записи вы можете показать свое предпочтение и поддержку определенного центра сертификации. Однако обратите внимание, что использование записей CAA не ограничивает вас одним конкретным центром сертификации.
- Создание нескольких записей CAA позволяет нескольким центрам сертификации выпускать сертификаты для вашего доменного имени.
Как проверить запись CAA?
На самом деле проверить свою запись CAA очень просто. Вот как это сделать несколькими разными способами в зависимости от вашей операционной системы (ОС):
Если вы являетесь пользователем macOS или Linux, вы можете использовать команду Dig для проверки вашей записи CAA. Откройте Терминал и введите следующую команду:
| 1 | dig example.com caa |
Устранение ошибок в записях CAA
Распространенные ошибки в конфигурации записей CAA, такие как неправильный синтаксис или задержки в распространении DNS, могут препятствовать выпуску сертификатов SSL/TLS. Ошибки часто возникают из-за проблем с форматом - неправильно расставленных кавычек или неверно указанных доменных имен ЦС - что приводит к сбоям в работе DNS-резольвера. Чтобы устранить эти проблемы, сначала убедитесь, что запись CAA соответствует правильному формату, используя инструменты поиска DNS, например ClouDNS Free DNS tool. Затем, после обновления записей CAA, проверьте согласованность распространения DNS на различных разрешителях с помощью таких инструментов, как dig или nslookup. Такой подход помогает поддерживать соответствие между выпуском сертификатов и политикой безопасности.
ЧАСТО ЗАДАВАЕМЫЕ ВОПРОСЫ
Вопрос: Как должна выглядеть моя запись CAA, если я приобрету SSL-сертификат?
Ответ: Центром сертификации, с которым мы работаем, является компания Sectigo. Они признают следующие доменные имена в тегах issue и issuewild property разрешенными к выдаче:
- comodoca.com
- usertrust.com
- trust-provider.com
- sectigo.com
Влияет ли запись CAA на уже имеющиеся у меня сертификаты SSL/TLS?
Ответ: Нет, записи CAA не влияют на существующие сертификаты SSL/TLS. Они вступают в силу только тогда, когда центр сертификации (ЦС) пытается выпустить новый сертификат. Существующие сертификаты остаются действительными до истечения срока их действия, независимо от содержимого записи CAA.
Могу ли я указать несколько центров сертификации в записях CAA?
Ответ: Да, вы можете указать несколько центров сертификации в записях CAA. Для этого можно создать несколько записей CAA для вашего домена, каждая из которых будет содержать доменное имя другого центра сертификации.